【文章內(nèi)容簡介】 安全風險，并且明顯地違背了許多法律法規(guī)的要求，同樣也是直接導(dǎo)致運維效率低下的主要原因。應(yīng)用程序的內(nèi)嵌帳號通常也是具有非常高的權(quán)限的，可以毫無控制地訪問后端系統(tǒng)。如果該帳號不有效管理起來，勢必帶來繞開常規(guī)管理流程的非法訪問。以上圖的Billing系統(tǒng)為例，前端Bill應(yīng)用通過內(nèi)置的數(shù)據(jù)庫用戶連接數(shù)據(jù)庫，用以更新數(shù)據(jù)庫中相關(guān)記錄。非授權(quán)的第三方人員一旦知曉該密碼，則可以肆無忌憚地進入數(shù)據(jù)庫，刪除記錄，修改數(shù)據(jù)。 如上描述，嵌入在應(yīng)用程序中的密碼會帶來如下安全風險： 密碼不定期修改：為了獲得更高的安全水平，密碼需要定期修改。而應(yīng)用程序內(nèi)嵌密碼其密碼修改過程非常復(fù)雜，因為密碼會被寫入在應(yīng)用程序的多處。 運維人員和開發(fā)人員都知曉應(yīng)用密碼： 由于應(yīng)用程序密碼被嵌入在程序中，并且不會定期修改，所以通常密碼在IT運維人員和開發(fā)人員整個企業(yè)中是共享的，特別還包括離職員工以及外包人員。 密碼強度不夠：由于密碼是IT運維人員或者開發(fā)人員手工創(chuàng)建的，為了能夠應(yīng)對緊急情況，這些密碼盡量定義地簡單，便于能夠記憶。這將導(dǎo)致企業(yè)特權(quán)帳號密碼的策略不合規(guī)。 密碼存儲在明文中：嵌入的密碼在配置文件或者源代碼中是明文存儲的，有時密碼也不符合強度要求。所以這些密碼很容易被訪問到源代碼和配置文件的人員獲得。 對應(yīng)用程序內(nèi)嵌密碼缺乏審計：在緊急情況下，IT運維人員和開發(fā)人員都需要使用應(yīng)用程序密碼，現(xiàn)有的密碼方案無法提供相應(yīng)的使用記錄的控制和審計。 審計與合規(guī)：無法保護應(yīng)用程序帳號，審計其使用記錄會違法安全標準和法規(guī)，并且導(dǎo)致無法通過內(nèi)審和外審要求。應(yīng)用程序帳號管理常見需求 如之前章節(jié)描述，由于應(yīng)用程序密碼濫用狀況引起了安全與合規(guī)性風險。擁有了應(yīng)用程序就可以訪問企業(yè)的核心應(yīng)用，為了成功地控制這些應(yīng)用帳號，所選擇的解決方案必須滿足如下要求： 安全需求： 1. 加密：應(yīng)用程序密碼必須存儲在安全的場所，無論是存儲，還是被傳送至應(yīng)用程序，密碼必須被加密。 2. 訪問控制：必須有很強的訪問控制作用在密碼使用之上，嚴格限定能夠訪問密碼的人員或者是應(yīng)用程序 3. 審計：能夠快速審計到任何訪問密碼的活動，包括個人訪問記錄。 4. 高可用性：相應(yīng)的應(yīng)用程序無法接受宕機時間。應(yīng)用程序始終能夠訪問這些密碼，不管是在網(wǎng)絡(luò)連接的問題或者存儲發(fā)生故障。 管理需求： 1. 廣泛的平臺支持性：一個企業(yè)一般會擁有不同類型的系統(tǒng)、應(yīng)用和腳本等。為了能夠支持企業(yè)中不同應(yīng)用的需求，應(yīng)用程序密碼管理方案必須支持如下廣泛平臺： a) 腳本 – Shell, Perl, bat, Sqlplus, JCL等 b) 應(yīng)用程序 – 自定義開發(fā)的C/C++應(yīng)用程序，Java，.NET， Cobol等，也有一些諸如Oracle，SAP的商業(yè)系統(tǒng) c) 應(yīng)用服務(wù)器 – 大部分企業(yè)至少會擁有常見應(yīng)用服務(wù)器的一款：比如IBM WebSphere, Oracle WebLogic，JBOSS 或者Tomcat 2. 簡單和靈活的整合：改變應(yīng)用消除硬編碼密碼的方式應(yīng)該簡單明了。整個方式應(yīng)該簡化和縮短應(yīng)用程序向動態(tài)密碼管理遷移的周期。 3. 支持復(fù)雜的分布式環(huán)境：大型企業(yè)中分布式系統(tǒng)非常多見。例如，一個集中的數(shù)據(jù)中心和多很分支機構(gòu)運行著連接到中心的應(yīng)用程序。網(wǎng)絡(luò)連接不是時時刻刻可靠的，偶爾也會斷網(wǎng)或發(fā)生震蕩，所以企業(yè)應(yīng)用程序的高可用性是非常重要的，方案應(yīng)該允許分支機構(gòu)在連接到總部的網(wǎng)絡(luò)發(fā)生故障時，依舊能夠運行良好。 預(yù)設(shè)賬號口令管理系統(tǒng)通地在改變業(yè)務(wù)系統(tǒng)請求預(yù)設(shè)帳號方式，由傳統(tǒng)的應(yīng)用內(nèi)置帳號密碼，更改為向預(yù)設(shè)賬號口令管理系統(tǒng)發(fā)起預(yù)設(shè)帳號密碼請求，通過對網(wǎng)絡(luò)傳輸中的請求、返回數(shù)據(jù)進行加密，對請求源進行認證與授權(quán)的方式，安全保證最新的帳號密碼信息的供應(yīng)。 云計算平臺目前，大多數(shù)用戶的數(shù)據(jù)中心都部署了VMware的云計算平臺，這個平臺可以很好的融入到信息安全體系當中。賬號生命周期管理系統(tǒng)、加密系統(tǒng)、雙因素認證系統(tǒng)、活動目錄、內(nèi)嵌賬號管理、數(shù)據(jù)脫敏系統(tǒng)、統(tǒng)一安全運營平臺、文件服務(wù)器都是標準軟件應(yīng)用，都可以跑在VMware云計算平臺上。利用VMware可以方便的對信息安全子系統(tǒng)做快照、系統(tǒng)遷移、系統(tǒng)擴容等，在發(fā)生故障時可快速恢復(fù)系統(tǒng)，為信息安全系統(tǒng)提供了良好的支撐平臺，降低了宕機時間，降低了維護成本，提高了工作效率。 防火墻在數(shù)據(jù)中心部署獨立高性能防火墻，利用防火墻邏輯隔離出兩個區(qū)域，一個是內(nèi)部核心服務(wù)器及數(shù)據(jù)庫區(qū)域（數(shù)據(jù)中心區(qū)），一個是信息安全系統(tǒng)及其他對外服務(wù)器區(qū)域（DMZ非軍事區(qū)）。在主機賬號生命周期管理系統(tǒng)上線運行后，數(shù)據(jù)中心防火墻需要配置安全策略，對FTP、SSH、Telnet、RDP以及所有未使用的端口進行封閉，禁止任何外部終端對數(shù)據(jù)中心主機直接發(fā)起有效連接，禁止終端直接接觸數(shù)據(jù)中心的資產(chǎn)，只允許其通過管理系統(tǒng)來訪問數(shù)據(jù)中心，但允許數(shù)據(jù)中心內(nèi)部主機之間的互相連接。在數(shù)據(jù)庫賬號生命周期管理系統(tǒng)上線運行后，數(shù)據(jù)中心防火墻需要做安全策略，對數(shù)據(jù)庫端口進行封閉，禁止任何外部終端直接采用數(shù)據(jù)庫工具操作數(shù)據(jù)庫，但允許數(shù)據(jù)中心內(nèi)部主機之間的數(shù)據(jù)同步。 統(tǒng)一安全運營平臺隨著信息架構(gòu)與應(yīng)用系統(tǒng)日漸龐大，現(xiàn)行IT架構(gòu)中，早已不是單一系統(tǒng)或是單一設(shè)備的單純環(huán)境，系統(tǒng)中往往擁有各種安全設(shè)備、主機設(shè)備、網(wǎng)絡(luò)設(shè)備、應(yīng)用系統(tǒng)、中間件數(shù)據(jù)庫等等，每天產(chǎn)生巨大的日志文件，即使是派專人都無法處理過來，一個安全事件的追查，對于結(jié)合異質(zhì)系統(tǒng)、平臺的問題上，卻又需要花費大量的人力時間，對于問題解決的時間花費與異構(gòu)平臺問題查找，都無法有效管理與降低成本。統(tǒng)一安全運營平臺可從單一位置實時搜尋、報警及報告任何使用者、網(wǎng)絡(luò)、系統(tǒng)或應(yīng)用程序活動、配置變更及其它IT數(shù)據(jù)。消除設(shè)置多重主控臺的需要，從單一位置即可追查攻擊者的行蹤?，F(xiàn)在可以執(zhí)行更為深入的分析，并更快速而徹底地予以回應(yīng)，降低風險及危險暴露的程度。意外事件回應(yīng)在接獲任何可疑活動的報警或報告時，統(tǒng)一安全運營平臺將會是第一個處理的窗口。只需在統(tǒng)一安全運營平臺搜尋框中輸入你所掌握的詳細數(shù)據(jù)，包括IDS報警的來源及目標IP，或是認為其私人數(shù)據(jù)已外泄的客戶賬戶ID即可。統(tǒng)一安全運營平臺會立即傳回整個網(wǎng)絡(luò)中所有應(yīng)用程序、主機及裝置中，與該搜尋條件有關(guān)的每一事件。雖然開始傳回的數(shù)據(jù)非常多，但統(tǒng)一安全運營平臺可協(xié)助用戶理出頭緒，并依照所希望的方式加以整理。其會自動擷取及讓用戶篩選時間及其它字段、依據(jù)關(guān)鍵詞及模式將事件分類，因此用戶可快速處理完所有的活動數(shù)據(jù)。若用戶發(fā)現(xiàn)值得注意的事件，并希望加以追蹤，僅要點擊任何名詞，即可針對所點擊的詞匯執(zhí)行新搜尋。正因為統(tǒng)一安全運營平臺可為任何IT數(shù)據(jù)制作索引－而不僅是安全性事件或日志文件，因此用戶只需使用統(tǒng)一安全運營平臺，即可掌握全盤狀況。用戶可在此單一位置中，搜尋及發(fā)現(xiàn)攻擊者當下可能執(zhí)行的程序、過去執(zhí)行的程序，并查看其可能已修改的配置變更。安全性監(jiān)控統(tǒng)一安全運營平臺可讓用戶非常容易跨越IT束縛監(jiān)控安全性事件；搜尋用戶路由器及防火墻日志文件中的數(shù)據(jù)流違反情況，尋找服務(wù)器及應(yīng)用程序上的違反情況，或是尋找未經(jīng)授權(quán)或不安全的配置變更。運用統(tǒng)一安全運營平臺的趨勢分析、分類及執(zhí)行識別功能，即可快速識別極為復(fù)雜的使用情況，例如可疑的執(zhí)行及模式，或是網(wǎng)絡(luò)活動的變化。報警功能可透過電子郵件、RSS、短信或觸發(fā)腳本寄送通知，可輕易與用戶現(xiàn)有的監(jiān)控主控臺整合。報警還能觸發(fā)自動化動作，以便立即響應(yīng)特定狀況，譬如命令防火墻封鎖入侵者日后的數(shù)據(jù)流。變更偵測通過統(tǒng)一安全運營平臺